ドメインとサーバーの料金は払っている。会社案内も表示される。けれど、WordPressの管理画面には長年ログインしていない。このようなサイトを、そのまま公開し続けることは危険です。
2026年10月9日、IPAは、不正アクセスによる情報漏えい事案の公表が相次いでいることを受け、外部に公開しているアプリケーションの修正状況や、ログ・アカウントの異常を点検するよう注意喚起を出しました。同資料では、特定の製品やサービスの脆弱性を狙った攻撃とは断定されていません。個別の流出事案の原因はそれぞれ確認が必要ですが、中小企業も、自社が公開しているシステムの管理状況を見直すべきです。
会社が判断したいのは、WordPressを保守しながら使い続けるか、現在の用途に合う構成へ改修するかです。会社紹介を掲載するだけで、何年も情報を更新していないなら、静的サイトに改修してWordPressの運用を終える方法もあります。
ドメインとサーバーの支払いだけでは、保守は済んでいない
ここで扱うのは、自社でサーバーを契約して設置するWordPressです。WordPress本体は無償で利用できるCMSで、公式サイトも、自分でホスティングとドメインを用意して設置する方法を案内しています。有料のテーマや追加機能を使わなければ、外部への継続的な支払いを、主にドメインとサーバーの料金に抑えて運用することはできます。制作や保守を委託する場合などには、別途費用がかかります。
管理画面から文章や画像を変更できるため、社内で更新しやすいことも利点です。ただし、掲載情報を編集する作業と、システムを安全に動かすための保守は別の業務です。
WordPressは、HTMLファイルを置いているだけのサイトではありません。WordPressの公式説明にあるように、PHPとデータベースを使うソフトウェアです。本体に加え、テーマやプラグインなどの追加機能も動いています。それぞれの修正状況を確認し、必要な更新を適用する担当が必要です。
社内で保守するなら、その作業時間と確認責任を割り当てます。委託するなら、契約に含まれる対象と作業を確認してください。サーバー会社へ料金を払っていても、設置したWordPressやプラグインまで更新してもらえるとは限りません。
放置すると、修正された脆弱性が自社サイトに残る
ソフトウェアに見つかった安全上の問題を、脆弱性と呼びます。WordPressや追加機能に修正版が提供されても、自社サイトで適用されていなければ、その問題が残る場合があります。
IPAは2026年7月22日のWordPressに関する注意喚起で、影響を受けるバージョンでは、複数の脆弱性の組み合わせによって遠隔からコードを実行される可能性を示し、直ちに更新するよう促しました。同時に、環境や設定によって自動更新が有効でない場合や、更新に失敗している可能性にも言及しています。
これは特定の脆弱性の事例です。すべてのWordPressサイトが同じ問題を抱えているという意味ではありません。ただ、会社の規模やサイトの知名度を、更新の確認を省く理由にはできません。自社で使っている構成に問題があり、修正されていなければ、対応が必要です。
「自動更新を設定してある」という説明を受けていても、現在のバージョンと更新結果を確かめてください。WordPressの公式資料でも、テーマ・プラグインの自動更新が動かない場合や、失敗時の通知、問題が起きたときに戻せるバックアップが案内されています。
会社案内サイトでも、情報流出や改ざんの影響はある
会員登録や決済がなくても、お問い合わせや採用応募のフォームを設置しているなら、氏名、連絡先、相談内容、添付資料などを扱います。メール送信だけだと思っていても、使用する追加機能によっては、サイト側に問い合わせ記録が保存されている場合があります。
担当者には、入力された情報がどこに保存されるか、誰が閲覧できるか、どれだけ残っているかを確認してもらいましょう。不要な情報を長期間残す必要があるのかも、利用する部門が判断します。侵入や漏えいが疑われた際に、何を調べるべきか分からない状態は避けたいところです。
サイトに個人情報を保存していなくても、公開ページを改ざんされれば訪問者に影響が及ぶ可能性があります。JPCERT/CCのWebサイトへの攻撃に関する注意喚起は、改ざんによる不正なサイトへの誘導や、情報窃取、サービス停止への備えを案内しています。
不審な転送、作成した覚えのない管理者、異常なログが見つかった場合は、通常の改修計画とは別に、委託先や専門家へ連絡して初動対応を進めます。見た目を直したり、最新版へ更新したりするだけで、すでに起きた侵入や情報への影響まで解消したと判断しないでください。
名刺代わりのサイトなら、静的サイトへの改修も選択肢になる
会社概要、事業紹介、所在地、連絡先が中心で、記事の追加もほとんどない。会員機能や予約・決済も使っていない。このようなサイトなら、今後もWordPressが必要かを検討する余地があります。
静的サイトとは、HTMLや画像、必要なCSSなどのファイルをあらかじめ作成し、公開サーバーから配信する構成です。MDNの技術資料も、静的サイトを、要求されたファイルをサーバーが返す仕組みとして説明しています。ここでは、ページを表示するためにWordPressやそのデータベースを公開環境で動かさない構成を想定します。
静的サイトへ改修し、古いWordPressを公開環境から撤去すれば、そのWordPress本体やプラグイン、管理画面に由来する攻撃対象を減らせます。これは静的配信の構成から考えられる利点であり、静的サイトならすべての事故を防げる、という保証ではありません。
ドメイン、ホスティング、ファイルを公開するためのアカウント、HTTPSの証明書などは、引き続き管理します。サーバー管理を自社とサービス事業者のどちらが担うかも確認してください。外部のスクリプトやサービスを追加する場合は、その利用条件と保守範囲も対象になります。
問い合わせフォームにも注意が必要です。HTMLだけで、入力内容の受信・保存・メール送信まで完結するわけではありません。外部のフォームサービスや別の処理プログラムを使うなら、入力情報の扱い、アクセス権、保存・削除、サービスやプログラムの保守を確認します。電話やメールへの案内へ変える場合も、顧客が連絡しやすい方法かを検討してください。
更新のしやすさと、保守を続けられる体制で選ぶ
記事を頻繁に追加し、複数の社員が管理画面を使って更新するなら、WordPressの利点を活かせます。その場合は、本体・テーマ・プラグインの更新、更新後の動作確認、権限管理、バックアップ、異常時の連絡を実施できる体制と費用を用意します。
一方で、会社案内が中心で情報変更も少ないなら、静的サイトへ改修する費用と、その後の修正費用を見積もってもらいます。管理画面から自由に編集する方式ではなくなることが多いため、文章や画像の変更を誰が受け付け、どのように公開するかも決めてください。
| 維持の方法 | 会社が用意・確認すること |
|---|---|
| WordPressを続ける | 必要な機能と更新の用途、システムの保守担当、作業範囲、報告、緊急対応と費用 |
| 静的サイトへ改修する | 残すページと機能、改修費、情報変更の担当と費用、フォームの扱い、旧WordPressの撤去 |
| 不要なサイトを閉鎖する | 残す必要のある記録、顧客への案内、ドメイン・メールへの影響、公開停止とデータ保管 |
どの方法が安いかは、ページ数、必要な機能、修正の頻度、社内で対応できる作業によって変わります。サーバー料金だけで比べず、初期の改修費と、その後の更新・保守にかかる費用を合わせて判断します。これらは用途と体制に応じた実務上の選択肢です。
静的に改修するなら、古いWordPressを残さない
WordPressからHTMLを書き出して新しいサイトを公開しても、古いWordPressが別のURLやサブドメインで外部からアクセスできるままなら、放置していたシステムは残ります。改修の依頼には、旧環境の終了作業まで含めてください。
- 残す情報と機能を決める。掲載するページ、画像、既存URL、問い合わせ方法、外部サービスとの連携を確認します。必要のない機能まで移し替えません。
- 必要なデータを保全する。記事、画像、必要な問い合わせ記録などを確認し、保管先と閲覧権限を決めます。バックアップを誰でも取得できる公開フォルダーに置かないでください。
- 新しいサイトを確認する。ページ、画像、リンク、スマートフォン表示、HTTPS、問い合わせ方法を確認してから切り替えます。
- 旧環境を終了する。旧WordPressのファイル、不要になったデータベースや認証情報、旧URL・テスト環境が残っていないかを委託先に確認してもらいます。同じサーバーで使う別サイトやメールに影響しない範囲で実施します。
IPAのWebサイト運用のチェックポイントも、不要なサイトやアプリケーションの停止・削除、公開すべきでないファイルの保管場所を確認事項にしています。移行前の記録を残す場合も、公開環境から分離し、必要な人だけが扱える状態にします。
会社が決めるのは、保守を続ける費用か、構成を変える費用か
長年放置したサイトがあるなら、最初に委託先へ、現在の構成、更新状況、保存している情報、不審なログやアカウントの有無を確認してもらいましょう。更新すると不具合が出る場合には、必要な検証・改修と費用も出してもらいます。危険な状態が確認された場合は、計画的な移行を待たずに、公開や機能を一時停止する必要がないかを判断します。
そのうえで、サイトの用途を決めます。情報発信に使うなら、WordPressを保守できる担当と予算を確保する。会社紹介を残せれば十分なら、静的サイトへの改修を比較する。使わなくなったサイトなら、必要な記録を保全して閉鎖する。決めた方法には、実施担当と期限を付けてください。
無料のCMSを使うこと自体が問題なのではありません。会社が公開しているシステムの維持を、誰も担当していないことが問題です。名刺代わりのサイトであれば、現在の業務に必要な情報を残し、管理する仕組みを減らす改修は、現実的な対策になります。
日常の保守で確認する項目は、関連記事「企業のWebサイト運用で必ず押さえたい6つのセキュリティ対策」も参照してください。
公式資料の確認日：2026年10月13日。サイト構成の選び方、費用の比較、移行時の役割分担は、本稿で提案する実務上の進め方です。